Datenschutzerklärung

2. Geltungsbereich

Diese Datenschutzerklärung informiert darüber, wie AdvoLab beim Betrieb des Dienstes Personendaten bearbeitet, wenn Nutzerinnen und Nutzer (nachfolgend «Nutzer») den Dienst verwenden, sich registrieren oder mit AdvoLab in Kontakt treten. Massgebend ist das schweizerische Datenschutzgesetz (DSG).

3. Welche Personendaten AdvoLab bearbeitet

Registrierungs- und Kontodaten: Name, E-Mail-Adresse und Organisation. Für die passwortlose Anmeldung bearbeitet AdvoLab Einmalcodes, die zehn Minuten gültig sind. Nach erfolgreicher Anmeldung wird ein Sitzungstoken mit einer Gültigkeit von sechs Wochen im lokalen Speicher des Browsers abgelegt. Ein Passwort wird nicht erhoben.

Recherchedaten: die eingegebenen Zeichen bzw. Namen, Angaben zu Waren und Dienstleistungen, Chatnachrichten, technische Ein- und Ausgaben der Verarbeitungsschritte sowie die daraus erstellten und im Dienst angezeigten Berichte. Die Berichte können zudem Personendaten Dritter aus öffentlich zugänglichen Quellen enthalten (z.B. Namen von Inhaberinnen und Inhabern von Marken oder Firmen aus Swissreg oder Zefix). Nutzer dürfen keine besonders schützenswerten Personendaten, Geschäftsgeheimnisse oder Angaben eingeben, die einer besonderen gesetzlichen oder beruflichen Geheimhaltungspflicht unterliegen, sofern deren Bekanntgabe an die in Ziff. 5 genannten Empfänger nicht zulässig oder nicht gewünscht ist.

Technische Daten: IP-Adresse und Zeitpunkt von Anmelde- und Registrierungsanfragen sowie technische Anfrage- und Logdaten. IP-Adressen werden insbesondere zum Schutz vor missbräuchlichen Anfragen und zur mengenmässigen Begrenzung verwendet.

Kommunikationsdaten: Inhalt und Metadaten der Korrespondenz der Nutzer mit AdvoLab.

4. Zwecke der Bearbeitung

AdvoLab bearbeitet Personendaten zur Bereitstellung des Dienstes, insbesondere zur Durchführung der Recherchen und zur Erstellung und Anzeige der Berichte, zur Verwaltung der Nutzerkonten, zur Authentifizierung, zur Sicherstellung von Betrieb und Sicherheit, zur Fehleranalyse und Verbesserung während der Beta-Phase, zur Kommunikation sowie zur Erfüllung rechtlicher Pflichten und zur Durchsetzung der Nutzungsbedingungen.

5. Einsatz von künstlicher Intelligenz, Dienstleistern und öffentlichen Quellen

Für die automatisierte Erstellung der Berichte nutzt AdvoLab die OpenAI Platform API. Dabei werden Recherchedaten und die für die Anfrage erforderlichen Kontextangaben an OpenAI übermittelt. Für Protokollierung, Qualitätssicherung und Fehleranalyse wird Langfuse Cloud in der EU-Region eingesetzt; Langfuse erhält die vollständigen Eingaben und Ausgaben der KI-Verarbeitung, einschliesslich Zeichen, Waren- und Dienstleistungsangaben und Berichtsinhalten. Aufbewahrung und weitere Bearbeitung bei diesen Anbietern richten sich zusätzlich nach den für die jeweiligen AdvoLab-Konten vereinbarten Einstellungen und Verträgen.

Weitere Dienstleister sind Vercel für Hosting und Betrieb der Anwendung, Neon für die Datenbank in Frankfurt (Deutschland) sowie Resend für den Versand der Anmeldecodes. Bei der Registrierung wird ausserdem eine interne Benachrichtigung mit Name, E-Mail-Adresse und Organisation an ein AdvoLab-Postfach versandt.

Für die Recherche werden Google Custom Search, Swissreg und Zefix abgefragt. Dabei wird nicht nur eine technische Verbindung hergestellt: Das eingegebene Zeichen bzw. der eingegebene Name wird als Suchbegriff an diese Dienste übermittelt. Bei Zefix erfolgt die Abfrage über ein authentifiziertes Konto von AdvoLab und kann diesem Konto zugeordnet werden.

AdvoLab verpflichtet Auftragsbearbeiter vertraglich zu Vertraulichkeit, Datensicherheit und zweckgebundener Bearbeitung, soweit dies für das jeweilige Vertragsverhältnis erforderlich ist. Öffentliche Such- und Registerdienste bearbeiten die an sie übermittelten Suchanfragen nach ihren eigenen rechtlichen und technischen Vorgaben. Im Fall einer Übertragung des Dienstes auf eine Rechtsnachfolgerin (Ziff. 12.4 der Nutzungsbedingungen) können Personendaten im erforderlichen Umfang an diese bekanntgegeben werden.

6. Bekanntgabe ins Ausland

Personendaten können in der Schweiz, in der Europäischen Union und in den USA bearbeitet werden. Übermittlungen in die USA betreffen insbesondere OpenAI, Vercel, Resend und Google. Soweit ein US-Empfänger nach dem Swiss-U.S. Data Privacy Framework zertifiziert ist, stützt sich die Bekanntgabe auf den entsprechenden Angemessenheitsentscheid. Andernfalls setzt AdvoLab anerkannte Standarddatenschutzklauseln und erforderlichenfalls ergänzende Schutzmassnahmen ein oder stützt die Bekanntgabe auf eine gesetzliche Ausnahme. Informationen zu den eingesetzten Garantien können über die Kontaktadresse gemäss Ziff. 1 verlangt werden.

7. Aufbewahrung

AdvoLab bewahrt Personendaten nur so lange auf, wie dies für die genannten Zwecke, die Sicherheit des Dienstes oder gesetzliche Pflichten erforderlich ist. Anmeldecodes sind zehn Minuten gültig; das lokal gespeicherte Sitzungstoken ist sechs Wochen gültig. Kontodaten, Chatverläufe, technische Verarbeitungsschritte, Recherchedaten und Berichte werden während der Kontonutzung gespeichert und nach einer Kontolöschung oder einem berechtigten Löschbegehren manuell gelöscht oder anonymisiert, soweit keine gesetzlichen Pflichten oder überwiegenden Interessen eine längere Aufbewahrung erfordern.

Für die zum Rate-Limiting gespeicherten IP-Adressen ist eine Bereinigung nach 24 Stunden vorgesehen. Da die automatisierte Bereinigung derzeit noch nicht durchgängig aktiviert ist, können diese Daten aktuell länger gespeichert bleiben. AdvoLab nimmt bis zur Aktivierung der automatisierten Löschung erforderliche Bereinigungen manuell vor.

8. Datensicherheit

AdvoLab trifft angemessene technische und organisatorische Massnahmen, um Personendaten vor unberechtigtem Zugriff, Verlust und Missbrauch zu schützen. Dazu gehören insbesondere die verschlüsselte Übertragung mittels TLS, passwortlose Anmeldung mit zeitlich begrenztem Einmalcode, zeitlich begrenzte Sitzungstoken, konto- und rollenbezogene Berechtigungen im Backend sowie mengenmässige Beschränkungen von Anmeldeanfragen. Kein System bietet absolute Sicherheit.

9. Lokaler Speicher; keine Cookies oder Analysedienste

Der Dienst setzt keine Cookies. Im lokalen Speicher des Browsers (localStorage) werden das Sitzungstoken, die Sitzungs-ID, Nachrichten, Berichtsinhalte und die Bestätigung des Nutzungshinweises gespeichert, damit Anmeldung und Benutzeroberfläche funktionieren. Das Löschen der Browserdaten entfernt diese lokale Kopie, nicht aber die serverseitig gespeicherten Daten.

AdvoLab setzt derzeit keine Tracking- oder Analysedienste und kein CAPTCHA ein. Langfuse gemäss Ziff. 5 dient der technischen Protokollierung, Qualitätssicherung und Fehleranalyse der KI-Verarbeitung und nicht der Analyse des Nutzerverhaltens zu Werbezwecken.

10. Automatisierte Bearbeitung

Die Berichte des Dienstes werden automatisiert erstellt. Sie sind Informationsgrundlagen und entfalten keine rechtlichen Wirkungen; eine automatisierte Einzelentscheidung im Sinne von Art. 21 DSG findet nicht statt. Die Entscheidung über die Verwendung oder Anmeldung eines Zeichens liegt allein beim Nutzer.

11. Rechte der betroffenen Personen

Betroffene Personen haben nach Massgabe des DSG insbesondere das Recht auf Auskunft, Berichtigung, Löschung und Widerspruch gegen die Bearbeitung sowie, soweit die gesetzlichen Voraussetzungen erfüllt sind, auf Herausgabe oder Übertragung bestimmter Personendaten in einem gängigen elektronischen Format. Zur Ausübung dieser Rechte genügt eine Mitteilung an die Kontaktadresse gemäss Ziff. 1; AdvoLab kann einen Identitätsnachweis verlangen. Beschwerden können zudem an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) gerichtet werden.

12. Änderungen

AdvoLab kann diese Datenschutzerklärung anpassen, wenn sich der Dienst, die Datenbearbeitung oder die Rechtslage ändert. Massgebend ist die jeweils auf trademark.advolab.ai publizierte, datierte Fassung.